На этой неделе компания Microsoft сообщила о четырех уязвимостях средней степени опасности в популярном программном обеспечении OpenVPN, используемом для создания защищенных VPN-соединений. Эти уязвимости, если их эксплуатировать, могут дать злоумышленникам возможность получить полный контроль над целевыми устройствами, что может привести к утечке данных, компрометации системы и несанкционированному доступу к конфиденциальной информации.
Список уязвимостей:
CVE-2024-27459. Уязвимость переполнения стека, приводящая к отказу в обслуживании (DoS) и повышению привилегий на Windows. Эта уязвимость связана с компонентом openvpnserv. CVE-2024-24974. Несанкционированный доступ к именованному каналу "\openvpn\service" в Windows, позволяющий злоумышленнику удалённо взаимодействовать с ним и запускать операции. Эта уязвимость также связана с компонентом openvpnserv. CVE-2024-27903. Уязвимость в механизме плагинов, приводящая к выполнению удалённого кода на Windows и повышению привилегий и манипуляции данными на Android, iOS, macOS и BSD. Эта уязвимость связана с компонентом openvpnserv. CVE-2024-1305. Уязвимость переполнения памяти, вызывающая отказ в обслуживании на Windows. Эта уязвимость связана с драйвером Windows TAP.
Для успешной эксплуатации данных уязвимостей злоумышленникам требуется аутентификация пользователя OpenVPN. Это означает, что злоумышленники должны получить доступ к учетным данным пользователя, например, к имени пользователя и паролю.
Под угрозой находятся все версии OpenVPN до 2.6.10 и 2.5.10.
Важно помнить, что OpenVPN является надежным и широко используемым VPN-решением. Однако, как и в случае с любым другим программным обеспечением, OpenVPN может иметь уязвимости. Регулярные обновления и соблюдение мер безопасности помогут защитить себя от подобных атак.